Trotz vielseitig genutzter Authentifizierungsmechanismen gelingt es Cyberkriminellen recht häufig, sich Zugriff auf die Konten der Opfer zu verschaffen. Um diese Kompromittierung von Konten zu verhindern, wurde die Multi-Faktor-Authentifizierung (MFA) entwickelt. Das Problem: Unternehmen wiegen sich damit oft in falscher Sicherheit, denn wenn nur eine Authentifizierungsmethode unsicher ist, ist es die ganze MFA. Wie Sie Ihre Identität wirklich mit der Multi-Faktor-Authentifizierung schützen können, erfahren Sie hier.
Die Cyberkriminellen nutzen den Zugang, um Malware auf den Unternehmenscomputer zu schleusen und um Daten zu stehlen oder zu verschlüsseln. Außerdem haben es die Angreifer auch auf die Vielzahl an Kundeninformationen abgesehen, welche später für Spear Phishing und andere Social-Engineering-Angriffe verwendet werden. Gängige MFA-Formen nutzen eine einfache Passwortanmeldung, welche durch mehrere weiteren Faktoren ergänzen werden. Einmal-Passwörter, magische Links und Push-Benachrichtigungen klingen hierfür zuerst sehr vielversprechend, bieten dabei aber kaum mehr Sicherheit als eine simple Passwortanmeldung.
Was ist das Problem?
Abfangen eines Einmal-Passworts (OTP):
Bei diesem Verfahren wird eine E-Mail oder SMS, welche ein Passwort enthält, an den Benutzer gesendet. Die Angreifer bräuchten somit Zugriff auf das Telefon oder E-Mail-Konto des Benutzers. Die Cyberkriminellen können dabei jedoch auf SIM-Swapping zurückgreifen oder verschaffen sich Zugang zu dem E-Mail-Konto des Benutzers.
Phishing-Angriffe:
Phishing-E-Mails bringen Nutzer dazu, auf Links zu klicken oder auf einer Website, die wie die Originale aussieht, die Anmeldedaten einzugeben. Dadurch fangen die Angreifer die Daten der Nutzer ab. Immer häufiger nutzen sie aber auch raffiniertere Techniken wie Browser-in-the-Browser (BitB)-Exploits, um nahezu nicht erkennbare Phishing-Seiten vorzulegen.
Schwachstelle bei der Passwortwiederherstellung:
Um dem Benutzer bei verlorenem oder vergessenem Passwort wieder Zugang zu seinem Konto zu verschaffen, wird die Funktion zum Zurücksetzen des Passwortes angeboten. Jedoch wird dabei der normale Authentifizierungsprozess umgangen und andere Instrumente zur Identitätsprüfung verwendet. Passwortwiederherstellungsmechanismen untergraben daher häufig die MFA, da sie den zweiten Identifizierungsfaktor zum alleinigen machen.
Welche Lösung gibt es für das Problem?
Implementierung von passwortloser und sicherer MFA:
Die obigen Aufführungen sollen Ihnen gezeigt haben, dass die herkömmlichen MFA-Verfahren keinen ausreichenden Schutz für Ihre Konten bieten können. Für eine tatsächliche Sicherheit muss die MFA auf Faktoren beruhen, die nicht ohne Weiteres kompromittiert werden können. Zu diesen Faktoren zählt die biometrische Authentifizierung, wie das Scannen von Fingerprints und Gesichtserkennung sowie Sicherheitsprüfungen auf Geräteebene. Warum werden dann heute oft nur Kennwörter und OTP als MFA verwendet? Weil es einfach zu implementieren ist! Der FIDO-Standard definiert jedoch auch eine einfache Möglichkeit, starke MFA zu implementieren. Auf diese Weise können Unternehmen für ihre MFA eine Kombination aus Biometrie und gerätespezifischen privaten Schlüsseln verlangen, anstatt nur Passwörter und MFA-Codes einzugeben. Unter Verwendung dieser Authentifizierungsmöglichkeiten gemäß FIDO-Standards bietet moderne passwortlose MFA eine stärkere und benutzerfreundlichere Authentifizierung als herkömmliche MFA-Lösungen, wodurch die Angriffsfläche für Unternehmen erheblich reduziert wird.
